無限ノック › DOP 練習問題一覧 › 問題
DOP構成管理と Infrastructure as Code (IaC)複数選択

ある企業はAWS Organizationsを使用して90個のメンバーアカウントを一元管理しています。セキュリティチームは、全アカウントの全リージョンにAWS CloudTrailを強制有効化するCloudFormationスタックを展開し、次の要件を満たす必要があります。 ①新しいアカウントがOUに追加された際にスタックを自動展開する。 ②管理アカウントでのIAMロール管理の手間をゼロにする。 最小の運用オーバーヘッドでこの要件を満たすために実施すべき対応を2つ選んでください。

A
CloudFormation StackSetsをSELF_MANAGEDパーミッションモデルで作成し、管理アカウントにAWSCloudFormationStackSetAdministrationRole、各メンバーアカウントにAWSCloudFormationStackSetExecutionRoleを手動で作成して信頼関係を設定する
SELF_MANAGEDモデルは各アカウントへの手動ロール作成が必要で要件②を満たせません。
B
CloudFormation StackSetsをSERVICE_MANAGEDパーミッションモデルで作成し、AWS Organizations統合によってメンバーアカウントへのIAMロール作成をサービスリンクロールに委任する
✓ 正解
SERVICE_MANAGEDモデルはOrganizationsとのサービスリンクロール連携により、IAMロールの手動作成が不要で要件②を満たします。
C
StackSetsの自動デプロイ（Automatic Deployment）を有効化し、OU（組織単位）へのアカウント追加時にスタックインスタンスが自動作成されるよう設定する
✓ 正解
自動デプロイ機能はOUへのアカウント追加を検知してスタックインスタンスを自動作成するため、要件①を満たします。
D
EventBridgeルールでOrganizationsのCreateAccountResultイベントを検知し、Lambda関数からCreateStackInstances APIを呼び出して新規アカウントへのデプロイを自動化する
EventBridgeルールは、StackSetsネイティブ機能で解決できる問題を過剰に複雑化しています。
E
SCP（サービスコントロールポリシー）でCloudTrail無効化APIを全OUに拒否設定し、各アカウントのCloudTrailは初回ログイン時の手動有効化をガイドラインで規定する
SCP（サービスコントロールポリシー）は強制有効化よりも制限的なアプローチであり要件を満たしません。

解説

選択肢Bは、SERVICE_MANAGEDモデルはOrganizations統合によりサービスリンクロールが使用されるため、管理者がメンバーアカウントにIAMロールを手動作成する必要がなくなります。 選択肢Cは、自動デプロイ機能はOUへのアカウント追加を検知して自動でスタックインスタンスを作成します。 選択肢AのSELF_MANAGEDモデルは、各アカウントへの手動ロール作成が必要で要件②を満たせません。 選択肢DのEventBridgeルールは、StackSetsネイティブ機能で解決できる問題を過剰に複雑化しています。 選択肢EのSCP（サービスコントロールポリシー）は、強制有効化よりも制限的なアプローチであり要件を満たしません。

ドメイン別正答率・予想スコアでリアルタイムに実力把握

無限ノックでDOPを徹底対策。全問AI生成のオリジナル問題。

無料で演習を始める →
← DOP の問題一覧に戻る